Apa yang terjadi
VulnCheck menerbitkan (2026-10-19) bahwa LangBot hingga 4.11.0 gagal memverifikasi tanda tangan webhook Lark/Feishu, memungkinkan penyerang tanpa autentikasi menyuntikkan peristiwa im.message.receive_v1 / card.action.trigger palsu. CVSS 6.5 (v3.1) / 8.3 (v4.0), CWE-345.
Mengapa penting
Webhook konektor obrolan adalah titik masuk umum ke alur kerja agen. Memalsukan peristiwa obrolan yang tampak sah memungkinkan orang luar menggerakkan agen LangBot perusahaan untuk menjalankan alat, memicu persetujuan, dan menjawab sebagai pengguna lain, melewati batas keaslian saluran obrolan.
Vektor serangan
Kontroler webhook Lark/Feishu melewatkan verifikasi tanda tangan (CWE-345 kurangnya verifikasi keaslian). Penyerang yang mengetahui UUID bot melakukan POST peristiwa palsu ke endpoint webhook, menyuntikkan pesan ke pipeline percakapan LLM dan memicu alat serta alur persetujuan atas nama pengguna yang sah.
Sistem yang terdampak
LangBot hingga 4.11.0
Mitigasi
Perbarui LangBot ke versi yang menyertakan commit perbaikan (43c481d74a6388657b84baa7d292c613c75c24f9).